„`html
Zusammenfassung
CVE-2026-3039 betrifft BIND DNS-Server mit TKEY-basierter GSS-API-Authentifizierung. Die Schwachstelle ermöglicht es Angreifern, über speziell präparierte Netzwerkpakete einen Denial-of-Service-Zustand durch excessive Speichernutzung auszulösen. Besonders gefährdet sind Active-Directory-integrierte DNS-Deployments und Kerberos-geschützte DNS-Umgebungen.
Betroffene Systeme
Die Schwachstelle betrifft folgende BIND 9 Versionslinien:
- 9.0.0 bis 9.16.50
- 9.18.0 bis 9.18.48
- 9.20.0 bis 9.20.22
- 9.21.0 bis 9.21.21
- Entsprechende Extended Support Versionen (-S1 Releases)
Besonders kritisch sind Installationen in Active-Directory- und Kerberos-Umgebungen, da diese typischerweise TKEY-Authentication aktiviert haben.
Technische Details
Die Verwundbarkeit liegt in der Verarbeitung malformer TKEY-Tokens durch BIND’s GSS-API-Implementierung. Beim Empfang manipulierter Authentifizierungspakete erfolgt keine ausreichende Validierung, was zu unkontrolliertem Speicherwachstum führt. Der TKEY-Mechanismus wird für sichere dynamische DNS-Updates und transaktionsorientierte Authentifizierung eingesetzt. Ein entfernter Angreifer kann ohne Authentifizierung speziell konstruierte UDP/TCP-Pakete auf Port 53 senden und damit den DNS-Server zum Speicherleck bewegen, was schließlich zu Ressourcenerschöpfung und Serviceausfall führt.
Empfohlene Massnahmen
Patches: Derzeit ist kein Patch verfügbar. Priorisieren Sie Updates sobald diese von ISC veröffentlicht werden.
Workarounds:
- Deaktivieren Sie TKEY-basierte GSS-API-Authentifizierung, sofern nicht erforderlich
- Implementieren Sie strikte ACL-Regeln auf Netzwerk-Ebene (Port 53)
- Nutzen Sie Firewall-Regeln zur Limitierung von DNS-Anfragen
Monitoring: Überwachen Sie die Speichernutzung von BIND-Prozessen kontinuierlich. Erhöhte oder anomale Speichernutzung kann auf aktive Ausnutzung hindeuten.
Bewertung
Mit CVSS 7.5 und fehlenderem Patch stellt diese Schwachstelle eine hohe Priorität dar. Die Kombination aus Netzwerkerreichbarkeit, DoS-Potential und fehlender Authentifizierungsanforderung macht sofortige Maßnahmen notwendig. Organisationen sollten Workarounds implementieren und zeitnah auf offizielle Patches warten.
„`